Il team di risposta agli incidenti di ApexRetail ha scoperto che la chiave gestita dal cliente KMS del team di sicurezza è stata disabilitata alle 03:14 UTC. L'azienda dispone di un CloudTrail a livello di organizzazione che invia tutti gli eventi di gestione a un bucket S3. Devono determinare rapidamente quale utente federato ha eseguito la chiamata API DisableKey, l'IP di origine e se è stato utilizzato l'MFA. Qual è l'approccio più efficiente utilizzando i dati di log esistenti?

L'opzione corretta è la più efficiente perché Amazon Athena consente di interrogare direttamente i log di CloudTrail archiviati in S3 utilizzando SQL standard. I log di CloudTrail contengono già tutti i dettagli necessari, inclusi eventName, userIdentity.sessionContext.sessionIssuer.arn (per l'utente federato), sourceIPAddress e userIdentity.sessionContext.attributes.mfaAuthenticated. Creare una tabella Athena per i log di CloudTrail e filtrare per DisableKey è il modo più rapido per ottenere le informazioni richieste dai dati esistenti. Amazon Detective è utile per l'analisi forense e la visualizzazione delle relazioni, ma potrebbe non fornire immediatamente i dettagli specifici dell'API e dell'MFA in un formato interrogabile come Athena. CloudTrail Lake è una soluzione eccellente per l'analisi futura, ma richiede tempo per l'ingestione dei dati e non sarebbe immediato per un evento passato. AWS Config traccia le modifiche alle risorse e non è progettato per interrogare gli eventi API dettagliati come CloudTrail.